Un domaine suspect remonte dans votre file d’alertes à 8 h 40. Une page de connexion bancaire, un certificat tout neuf, aucune mention légale. La première question d’un analyste n’est pas « que contient cette page ? », mais « qui l’a enregistrée, quand, et avec quels voisins ? ». C’est précisément là que l’investigation numérique avec WHOIS retrouve toute sa valeur.
Le protocole date des années 1980 et passe parfois pour un vestige. En 2026, il reste pourtant l’un des premiers réflexes de l’enquêteur, à condition d’en maîtriser les nouvelles règles : données masquées par le RGPD, bascule vers le protocole RDAP, parc de noms de domaine qui ne cesse de grossir, attaquants qui exploitent chaque zone d’ombre. Lire un enregistrement WHOIS comme en 2015, c’est passer à côté de la moitié de l’information.
Les chiffres qui alertent
Selon le rapport trimestriel Domain Name Industry Brief de Verisign, le monde comptait 401,6 millions de noms de domaine à la fin du deuxième trimestre 2026. C’est la première fois que la barre des 400 millions est franchie. Le .com représente à lui seul 166,6 millions d’enregistrements, et les nouvelles extensions génériques ont progressé d’environ un tiers en un an, ce qui élargit d’autant le terrain de jeu des fraudeurs.
Côté menaces, l’APWG a recensé plus d’un million d’attaques de hameçonnage sur le seul premier trimestre 2025. Chacune de ces campagnes repose, à un moment ou à un autre, sur un nom de domaine enregistré pour l’occasion.
Pourquoi ça vous concerne directement
Responsable SOC, analyste en renseignement sur les menaces, consultant en réponse à incident, juriste de DSI ou administrateur système : vous croisez chaque semaine des domaines dont il faut établir la provenance. Une erreur d’attribution coûte cher. Bloquer un domaine légitime paralyse un partenaire, alors qu’ignorer un domaine malveillant laisse une campagne tourner quelques jours de plus. Savoir lire, croiser et dater les données d’enregistrement raccourcit ce délai.
Qu’est-ce que l’investigation numérique avec WHOIS exactement ?
Il s’agit de l’exploitation méthodique des données d’enregistrement d’un nom de domaine ou d’un bloc d’adresses IP (titulaire, registrar, dates, serveurs de noms, contacts techniques et de signalement d’abus) pour reconstituer l’origine, l’historique et les liens d’une infrastructure. Le terme WHOIS désigne à la fois un protocole de requête, décrit par la RFC 3912 et historiquement servi sur le port 43, et, par extension, les données qu’il renvoie.
Conçu pour que les administrateurs réseau puissent se joindre, il est devenu un outil d’enquête avant même d’être un outil de contact. Jusqu’en 2018, l’identité complète des titulaires était publique. L’entrée en vigueur du RGPD a changé la donne : l’ICANN a adopté une spécification temporaire qui masque la plupart des champs relatifs aux personnes physiques. Depuis janvier 2025, les registres et registrars de domaines génériques ne sont plus tenus d’exposer le service sur le port 43. Le protocole RDAP, qui répond en JSON via HTTPS, prend le relais.
Les mécanismes cachés
Un enregistrement public ne dit jamais tout. Plusieurs couches viennent brouiller la lecture :
le masquage RGPD, qui remplace nom, adresse et téléphone par une mention de données expurgées ;
les services de confidentialité ou de proxy, qui substituent leurs propres coordonnées à celles du titulaire ;
la distinction entre registre et registrar, deux sources qui n’exposent pas exactement les mêmes champs ;
la limitation du nombre de requêtes, qui bloque les interrogations en rafale.
Paradoxe utile : même masqué, un enregistrement conserve des métadonnées très parlantes. Date de création, registrar, serveurs de noms, statuts du domaine et date d’expiration pèsent souvent plus lourd que le nom du titulaire, car ils trahissent des habitudes d’infrastructure.
Les acteurs principaux
L’ICANN, qui fixe les règles pour les domaines génériques et pilote le service de demande d’accès aux données d’enregistrement.
Les registres : Verisign pour le .com, PIR pour le .org, l’Afnic pour le .fr.
Les registrars, auprès desquels le titulaire enregistre réellement son domaine.
Les registres Internet régionaux, dont le RIPE NCC pour l’Europe, qui gèrent les blocs d’adresses IP.
Les fournisseurs de données historiques et de corrélation, comme DomainTools, WhoisXML API ou SecurityTrails.
Les impacts concrets en 2026
En France, les campagnes de hameçonnage imitent régulièrement l’Assurance maladie, France Travail, les impôts ou les transporteurs de colis. Dans presque tous les cas, une consultation des données d’enregistrement suffit à lever le doute en quelques secondes : un domaine censé représenter un service public, créé trois jours plus tôt chez un registrar étranger, n’a rien d’officiel.
Pour les particuliers
Un SMS de livraison vous renvoie vers une adresse inconnue ? Avant de cliquer, regardez l’âge du domaine et le registrar. Un site marchand qui date de quelques semaines, sans mentions légales cohérentes, mérite la plus grande méfiance. Les signalements peuvent ensuite être adressés à Cybermalveillance.gouv.fr ou au 33700 pour les SMS, avec les informations d’enregistrement en pièce jointe.
Pour les entreprises
Le typosquatting, la fraude au président et les faux fournisseurs s’appuient sur des domaines proches du vôtre. Une veille des nouveaux enregistrements similaires à votre marque, couplée à une lecture WHOIS systématique, permet de documenter rapidement un dossier de retrait auprès du registrar. Les équipes de renseignement sur les menaces utilisent aussi les données d’enregistrement pour relier plusieurs domaines à une même campagne, via un contact commun ou un même serveur de noms.
Les risques juridiques
Une donnée publique n’est pas une donnée libre de tout encadrement. Dès qu’un enregistrement contient des informations sur une personne identifiable, sa collecte et sa conservation relèvent du RGPD : finalité claire, minimisation, durée limitée. L’aspiration massive des bases d’un registrar peut aussi contrevenir à ses conditions d’utilisation.
La directive NIS2 pèse dans l’autre sens : elle impose aux registres et aux registrars de tenir des données d’enregistrement exactes et d’en donner l’accès aux demandeurs légitimes. Vérifiez l’état de la transposition française avec votre service juridique avant d’inscrire ce cadre dans une procédure interne.
Comment ça fonctionne techniquement
Imaginez un cadastre à deux niveaux. Le registre tient la liste officielle des noms d’une extension, comme un cadastre départemental. Le registrar, lui, connaît le client final, comme le notaire qui a rédigé l’acte. Pour reconstituer l’histoire d’une parcelle, l’enquêteur consulte les deux, puis recoupe avec le voisinage.
Étape 1 : La requête
Votre client interroge le serveur compétent. Pour un domaine générique, il s’appuie aujourd’hui sur RDAP : une simple requête HTTPS du type https://rdap.org/domain/exemple.com est redirigée vers le bon serveur grâce au service d’amorçage tenu par l’IANA. Pour une adresse IP, la requête est dirigée vers le registre régional concerné, qui renvoie le bloc, son nom de réseau, l’organisation et le système autonome d’origine.
La réponse arrive en JSON structuré, plus simple à traiter par script que le texte libre de l’ancien WHOIS. C’est un vrai gain pour automatiser des enrichissements en masse.
Étape 2 : L’interprétation et la corrélation
Lire un enregistrement ne suffit pas, il faut pivoter. Un enquêteur expérimenté part d’un indice et cherche ce qui l’accompagne :
la date de création comparée à la date de première apparition du domaine dans vos journaux ;
les serveurs de noms, qui regroupent souvent plusieurs domaines d’une même campagne ;
les adresses IP associées, puis les autres domaines hébergés sur ce même bloc ;
les certificats émis, consultables dans les journaux de transparence ;
les enregistrements passés, via un service d’historique, pour retrouver un contact avant le masquage.
Chaque pivot produit de nouvelles pistes et de nouveaux faux positifs. Gardez une trace de ce que vous avez vérifié, et de ce qui reste une simple hypothèse.
Les failles de sécurité
L’outil lui-même n’est pas exempt de limites, et l’enquêteur doit les connaître.
Les données sont déclaratives : un attaquant peut saisir de faux noms, de fausses adresses, ou recourir à une usurpation d’identité.
Les services de confidentialité rendent l’identification directe impossible sans procédure légale.
Les domaines jetables, enregistrés puis abandonnés en quelques heures, disparaissent avant votre première requête.
Certains outils web affichent les champs sans les échapper, ce qui ouvre la porte à des injections de contenu dans l’interface d’analyse.
Vos propres requêtes laissent des traces dans les journaux des fournisseurs : travaillez depuis une infrastructure dédiée, distincte de votre réseau d’entreprise.
Solutions et bonnes pratiques
La méthode compte davantage que l’outil. Une démarche simple, appliquée à chaque dossier, évite la plupart des erreurs d’attribution.
Protection immédiate (3 étapes)
Interrogez d’abord RDAP, puis complétez par un service de données historiques si l’enregistrement actuel est masqué.
Notez la date de création, le registrar et les serveurs de noms, puis comparez-les à ceux de votre marque ou de vos fournisseurs.
Bloquez ou surveillez le domaine dans votre passerelle de messagerie et vos résolveurs DNS, puis transmettez le dossier au registrar via son contact d’abus.
Outils et services pros
RDAP et le service de recherche de l’ICANN pour les domaines génériques, le portail de l’Afnic pour le .fr.
La base du RIPE NCC pour les blocs d’adresses européens.
DomainTools, WhoisXML API et SecurityTrails pour l’historique et les recherches inversées.
crt.sh pour les certificats, urlscan.io et VirusTotal pour le contenu et la réputation.
Maltego ou un notebook Python pour représenter les liens entre domaines, adresses et contacts.
Le service de demande d’accès aux données d’enregistrement de l’ICANN, pour les demandes légitimes concernant des données masquées.
Checklist de vérification
Le domaine a-t-il été créé récemment par rapport à l’incident observé ?
Le registrar est-il connu pour réagir aux signalements d’abus ?
Les serveurs de noms se retrouvent-ils sur d’autres domaines suspects ?
L’adresse IP héberge-t-elle d’autres sites sans rapport avec le titulaire annoncé ?
Avez-vous daté et conservé une capture de chaque réponse ?
La collecte respecte-t-elle le RGPD et vos règles internes ?
FAQ : Toutes vos questions
WHOIS est-il encore utile malgré le RGPD ?
Oui. Le nom du titulaire est souvent masqué, mais les dates, le registrar, les serveurs de noms et les statuts restent exploitables. Ces éléments suffisent à repérer une campagne ou à écarter une fausse piste.
Quelle différence entre WHOIS et RDAP ?
RDAP remplace le protocole historique par un service HTTPS qui renvoie du JSON. Il gère mieux l’accès différencié selon le demandeur et se prête à l’automatisation.
Comment obtenir l’identité d’un titulaire de domaine masqué ?
Par une demande motivée auprès du registrar ou du registre, via le service de l’ICANN pour les domaines génériques ou la procédure de l’Afnic pour le .fr. Pour un dossier pénal, passez par un dépôt de plainte et une réquisition judiciaire.
Un domaine récent est-il forcément malveillant ?
Non. Une jeune entreprise ou une campagne marketing enregistre aussi des noms de domaine. L’âge est un indice à recouper avec d’autres signaux, pas une preuve.
Est-il légal d’utiliser WHOIS dans une investigation ?
Consulter des données publiques est légal. La conservation, le croisement et la réutilisation de données personnelles restent soumis au RGPD, et l’extraction massive peut contrevenir aux conditions du fournisseur.
Agissez maintenant
Trois points à retenir :
Les données d’enregistrement restent un indice de première ligne, même masquées, grâce aux dates, au registrar et aux serveurs de noms.
RDAP et la corrélation d’indices remplacent la simple lecture d’un texte brut.
Le cadre juridique (RGPD, NIS2) fait partie de la méthode, pas d’une formalité en fin de dossier.
En 2027, la généralisation de RDAP et l’application de NIS2 devraient rendre les données plus exactes et l’accès plus encadré, mais aussi plus traçable. Les équipes qui auront formalisé leur méthode dès maintenant seront les plus rapides à s’adapter.
